ID管理とは、社員や委託先が使うIDの発行、変更、削除を、誰が何に使えるかと合わせて管理することです。目的は、人の動きと権限のずれをなくすことにあります。
今日やることは2つです。直近1年に辞めた人の名前を1人選び、メール、社内システム、クラウドサービスにそのIDが残っていないかを確かめる。人事や総務からIT担当者に、入社と退職を誰がいつ伝えるかを決める。消し忘れの多くは、技術の問題ではなく連絡の問題だからです。
なぜ退職者のIDの消し忘れが問題になるのか
残ったIDは、持ち主がいない入口です。本人が使わなくても、パスワードが漏れていれば誰かが使えるのに、気づく人がいません。
IPAの情報セキュリティ10大脅威2026 解説書は、内部不正の手口として、離職者が在職中のアカウントで外部から社内システムへ不正アクセスすることを挙げています。IDやアクセス権を削除していないと、情報の窃取や不正な操作ができてしまうという説明です。「内部不正による情報漏えい等」は、2026年の組織編で7位です。
検挙の統計にも出ています。警察庁などの公表資料によれば、2025年に検挙された、他人のID・パスワードを使う不正アクセス399件のうち、「識別符号を知り得る立場にあった元従業員や知人等による犯行」は61件（15.3%）でした。元従業員だけの数字ではありませんが、同じ資料はアクセス管理者に対し、利用する立場でなくなった人のIDの削除やパスワードの変更を速やかに行うよう求めています。
取引先から問われる場面も増えます。経済産業省と国家サイバー統括室が2026年度末頃の開始を目指すSCS評価制度の★3の基準には、次の項目があります。
- IDの付与、変更、削除を申請と承認の形にする
- IDを共有しない。やむを得ない場合は使った人を特定できるようにする
- 不要になったIDを速やかに削除または無効化する
- 役割の変更で不要になったアクセス権を速やかに外す
製品の導入が必須とされているわけではありません。求められるのは、手続きが決まっていて、実際に動いていることです。
台帳には何を書けばいいのか
台帳は1つの表で構いません。人を行、システムを列にすると、ひと目で状況が分かります。ただ、権限の違いまで書くなら、1人1システム1行の形のほうが後で集計しやすくなります。
| 項目 |
例 |
なぜ要るか |
| 人と所属 |
派遣社員、協力会社も含める |
社員名簿だけでは漏れるため |
| システムとID |
メール、会計、生産管理、VPN |
どこを止めるかが分かる |
| 権限と承認者 |
閲覧のみ、管理者、誰が承認したか |
異動や棚卸の判断に使う |
| 発行日と停止日 |
発行日、停止日、削除日 |
消した証拠になる |
書き始めると、一覧に載せるシステムの洗い出しで手が止まります。その場合は、請求書とカード明細から月額のサービスを拾う方法があります。端末と入っているソフトも合わせて把握するなら、IT資産管理ツールの比較が参考になります。
入社の時に何を決めるか
入社の場面で大事なのは、権限を最初から広げないことです。退職時に消す範囲は、入社時に配った範囲で決まります。
- 人事が入社日と部署をIT担当者に伝える
- 部署ごとの標準の権限表から配る。それ以外は上長の申請と承認をもらう
- 発行したIDを台帳に書く
- 初期パスワードは本人が初回に変更し、多要素認証を設定する
- 共有のアカウントは渡さない。やむを得ず使うものは記録する
部署ごとの標準の権限表は、最初の1回に時間がかかりますが、次の入社から確認だけで済みます。
派遣社員や委託先も同じ流れに乗せます。SCSの基準でも、派遣社員や受入出向者を対象に含めています。契約期間の終了日を、発行時点で台帳に書いておくと、更新がなければ自動的に確認の対象になります。
異動の時に何が残りやすいか
3つの場面の中で、一番見落とされやすいのが異動です。退職と違って、本人が在籍したままなので、誰も問題に気づきません。
前の部署の権限を残したまま新しい権限を足していくと、長く勤めた人ほど何でも見られる状態になります。IPAの解説書も、必要以上に高い権限が付いていると、悪用された時の被害が大きくなると書いています。
- 異動の連絡を、人事からIT担当者への項目に入れる
- 新しい権限を足す時に、古い権限を外す作業をセットにする
- 引き継ぎのために一時的に残す場合は、外す日を決めて台帳に書く
- 前の部署の共有フォルダと共有メールを見直す
退職日には何をどの順でやるのか
退職の手順は、止める、切る、渡す、消すの順に並べます。
1. 退職の予定を早めに共有する
退職が決まった時点で、人事から担当者へ伝えます。SCSの★4の基準では、退職時の回収物に情報、PC、スマートデバイスと、IDや鍵などのアクセス権を含め、チェックシートなどの手順を整えることを挙げています。
2. 止める
最終日に合わせてログインを停止します。データを引き継ぐ間は、削除より先に停止にしておくと、誤って消す事故を避けられます。
3. 切る
止めただけでは、ログイン済みの状態が残ることがあります。Microsoft Entra IDの説明では、アクセストークンの既定の有効時間は1時間で、従業員の退職は全アクセスを取り消す場面の一つとされています。Google Workspaceの手順でも、パスワードの変更に加えて、OAuthトークンの取り消し、ログインCookieのリセット、アプリパスワードの取り消しを挙げています。スマホのメールアプリや、サードパーティの連携も含めて確かめます。
4. 渡す
メール、クラウドのファイル、カレンダーを後任に移します。Microsoft 365の退職者向けの手順のように、サービスごとに案内があるので、自社で使うものを手順書に貼っておきます。メールの転送を長く残すと情報の流れが続くので、期限を決めます。
5. 消す
引き継ぎを終えたら、IDとライセンスを削除し、台帳の削除日を埋めます。
6. 共有パスワードを変える
本人が知っていた共有パスワードやVPNの設定、Wi-Fiのキーは、IDを消しても変わりません。パスワード管理アプリの記事に書いた共有の整理は、ここで効いてきます。管理者の権限を持っていた人なら、特権ID管理の手順も必ず通します。
退職時に忘れやすいもの
- 個人の携帯で登録した多要素認証と、サービスの復旧用メールアドレス
- 本人のメールアドレスで契約したクラウドサービスの管理者や請求先
- 自社のホームページ、ドメイン、SNSの管理者
- 複合機や共有ディスク（NAS）の共有設定
複合機や共有ディスクの設定について、IPAの情報セキュリティ6か条の解説編は、異動や退職の時に速やかに設定を変更または削除するよう書いています。
製造業で漏れやすいIDはどこにあるか
たとえば、部品の製造と組み立てを行う会社の場合を考えます。事務所のメールだけ見ていると、次のIDが台帳から漏れがちです。
- 生産管理システムの現場用ID。班で1つを使い回している
- CADや図面管理の、協力会社や派遣の設計者のID
- 設備メーカーが保守に使うVPNとリモート接続のID
- 取引先のEDIや受発注サイトのID。相手の会社が発行しているので社内に記録がない
- 現場のタブレットや検査機のローカルのID
とくに取引先が発行したIDは、担当者が辞めると相手の側に残ります。退職の手順に「取引先のシステムの担当者変更を依頼する」を1行入れておくと、相手にとっても助かります。
設備の保守のIDは、機器の更新や保守契約の終了で不要になっても残りやすいものです。契約の終了日を台帳に書いておくと見直しのきっかけになります。
棚卸はどのくらいの頻度でやるのか
手順を作っても漏れは出るので、定期的に実際の一覧と照らします。IPAの解説書も離任時の削除に加えて、定期的な棚卸で権限の妥当性と不要なアカウントを確かめるよう示しています。頻度は法律で決まっているわけではないので、会社で決めます。人の出入りが多くなければ、半年に1回から始めても動かせます。
進め方は簡単です。各システムの管理画面からIDの一覧を出し、社員名簿と照合します。名簿にない人、長い間ログインのない人、管理者権限を持つ人に印を付けます。SCSの基準は、一定期間使われなかったIDも不要になった例に挙げています。
製品はいつ検討すればいいのか
台帳の運用が回り始めて、次の状態になったら製品の出番です。
- 使うクラウドサービスが増えて、退職時に1つずつ止めるのに時間がかかる
- 入社や異動の設定に手間がかかって、作業が遅れる
- パスワードの種類が多く、使い回しが減らない
IDaaSは、ログインの入口を1つにまとめて、連携したサービスのIDを一括で作成や無効化できる製品です。Microsoft Entraの説明にあるように、SCIMという標準の仕組みで、人の異動や退職に合わせてアカウントを無効化する自動化ができます。候補はIDaaSの製品比較で見比べられます。
ただし、連携していないサービスや、機器のローカルのID、取引先発行のIDには効きません。台帳と棚卸は製品を入れた後も残ります。
退職者のIDが悪用されて漏えいが起きた時の責任は個人情報漏えいの罰則の記事に、サーバーやクラウドの管理者の権限は特権ID管理（PAM）の製品比較に分かれます。漏えい対策の全体は漏えい対策のカテゴリにまとめています。
